📌 3行要約 > - 流出通知には法律で定められた項目があります。 何が、いつ、どれだけ漏洩したのか、そして通報受付窓口が欠けていれば、まずはそれらから要求することができます。 > - 「通報」には2種類あります。 事業者が保護委員会等に行う通報と、被害者が個人情報侵害通報センターに行う通報は、それぞれ異なる手続きです。 > - 通報だけで終わらせないでください。 削除要求と処理停止要求を同時に出すことで、初めてメッセージが実際に止まります。
目次 1. メッセージ1通から始まった質問 2. 通知書に欠けていた3つのこと 3. 2つの「通報」を区別する 4. 名簿はどうやって渡ったのか 5. 通報書に何を書くか選ぶこと 6. 削除と処理停止を一緒に入れた理由 7. 4週間後に届いた返信 8. 個人情報流出通知を受け取ったら
仁川延寿区のソンドに事務所を構える行政書士です。仕事の中で出会ったあるエピソードをご紹介します。
個人情報に関する問い合わせは、数年前までは企業担当者側から来るものがほとんどでした。最近は逆です。被害を受けた個人が「これをどこに、どのように通報すればいいのか」と尋ねるケースが格段に増えました。制度が変わった影響もありますが、人々が自分の情報がどこまで流れているかを実感し始めたことも大きな要因です。
今回の件もそう始まりました。広告のメッセージ1通でした。
1. メッセージ1通から始まった質問 依頼人は、小学生の子供を2人育てる30代前半の女性でした。最初の連絡はメールで、画面のスクリーンショットが10枚添えられてきました。
10枚のうち3枚は広告のメッセージでした。学習教材、英語キャンプ、そして名前を聞いたこともない塾の説明会案内でした。3つのメッセージすべて、子供の名前を正確に記載していました。「〇〇様」ではなく「〇〇ちゃんの保護者様、3年生コース」といった具合です。学年まで一致していました。
残りの1枚が問題の文書でした。4ヶ月前に閉鎖した近所の補習塾が送った案内文の写真でした。閉業を知らせる2つの段落の下に、一行が付け加えられていました。会員情報が外部に流出した状況が確認されたため通知する、という内容でした。
その一行だけでした。
その方は、その案内文を受け取った際、大したことではないと流したといいます。塾が閉まるというニュースが先に目に飛び込んでき、下の1行は形式的な文言のように見えたということです。ところが、2ヶ月ほど経つ頃からメッセージが届き始めました。最初は月に1、2通でしたが、最近では週に3、4通届くようになりました。
その方が自ら試したこともありました。メッセージに記載された番号に電話し、どこで番号を知ったのかと尋ねたのです。担当者は「提携社を通じて受け取った名簿」とだけ答え、どの提携社かは教えてくれませんでした。受信拒否を押しましたが、別の番号からまた届きました。その間に、子供の名前が書かれたメッセージが増えていきました。
その方がメールの最後に書いた文章は、次のようなものでした。「自分の番号が漏れたのはそれとして、子供の名前と学年がずっと出回っているのが怖いです。」
2. 通知書に欠けていた3つ 相談予約はその週の金曜日の午後に取られました。その前に、案内文を精査しました。
「個人情報保護法」は、個人情報が流出した際、個人情報処理者が情報主体に知らせることを義務付けています。そして、その通知に含めるべき項目まで法律に規定しています。流出した項目、流出した時点と経緯、被害を最小限に抑えるために情報主体ができる方法、処理者の対応措置と被害救済の手続き、そして被害を通報・相談できる担当部署と連絡先です。
その方が受け取った案内文には、このうち3つがありませんでした。何が漏れたのか、いつどのように漏れたのか、そしてどこに通報すればよいのかが欠けていたのです。
この確認がなぜ先なのかと言えば、これから作成するすべての書類がここから出発するからです。流出した項目が名前と電話番号だけなのか、住所や学校まで含まれているのかによって、通報の内容が変わります。流出の時点がわからなければ、その後に届いたメッセージと関連付けることもできません。
そのため、最初の文書は通報書ではなく、通知の補完要求として設定しました。法律で定められた項目が欠けているので埋めてほしい、という短く事務的な文書です。根拠条項を記載し、欠けている項目を番号で列挙し、回答期限を記載しました。
この文書を先に送ったのには、実用的な理由もありました。事業者が回答すれば、流出の経緯が相手側の主張として残ります。回答しなければ、その事実自体が記録として残ります。どちらにせよ、次の段階で活用することができます。
3. 二つの「申告」を区別する 金曜日の相談で、まず整理したのが「申告」という言葉だった。
その方がインターネットで調べた内容は混ざり合っていた。ある記事では個人情報保護委員会に申告しろと言い、別の記事では個人情報侵害申告センターへ行けと言っていた。また、別の記事では紛争調整を申請せよと書かれていた。これら三つが同じものなのか違うものなのかが混乱していると話した。
これらは異なる手続きである。順に整理すると以下のようになる。
- 事業者が行う申告: 流出が一定規模以上であるか、機微情報・固有識別情報が含まれている場合などには、個人情報処理者が保護委員会や専門機関に申告する義務がある。これは事業者の義務であり、被害者が行う手続きではない。
- 被害者が行う申語: 自身の個人情報に関する権利や利益が侵害されたと判断した場合、個人情報侵害申告センターに申告することができる。受理された事案は調査と是正勧告、必要に応じて処分へとつながる。
- 紛争調整: 損害の賠償など、当事者間の争いを調整する手続きである。相手が事業者という「人」であり、金銭的な争いが中心となる場合、この領域に移る。
行政機関に提出する申告書・陳情書を作成し、提出を代行することは私たちの仕事である。この事件は、メッセージを停止し名簿を消去することが目的であったため、前者の範疇に該当した。
その方の目的を改めて尋ねた。答えは明確だった。お金を受け取りたいのではなく、子供の名前が載った名簿が消えることを望んでいるというのだった。
目的が明確であれば、書類も明確になる。
4. 名簿はどう渡ったのか その翌週の火曜日、事業者側から返信があった。予想よりも早かった。
閉園の際に塾の運営を担当していた人物から送られた短いメールだった。内容はこうだ。閉園の整理過程で、受講生管理プログラムを使っていたアカウントをそのまま残しており、そのアカウントへのアクセス権限を持っていた元従業員が名簿をダウンロードし、別の場所に渡したという状況があるというもの。流出した項目は、生徒の名前、学年、保護者の名前、保護者の携帯電話番号であった。時期は閉園の直前二週間の間と推定されるという。
ここで一つ、気になる点があった。閉園の事実とは別に、個人情報は保有期間が終了したり、処理目的が達成されたりすれば、遅滞なく破棄するように定められている。塾が閉まったのであれば、受講生情報を持ち続ける理由は原則としてなくなる。しかし、名簿はプログラムの中にそのまま残っていた。
つまり、この事件には二層の重なりがあった。一つは、権限のない者が名簿を持ち出した「流出」であり、もう一つは、破棄すべき情報をそのまま放置した「管理」の問題である。申告書において、この二つを分けて記載することにした。一つにまとめて書けば「従業員がこっそり持ち出した事故」としてしか読まれず、事業者が管理責任を軽く争う余地が出てしまう。
そして、この返信メール自体が重要な資料となった。流出の経緯と項目、時期が事業者の言葉で記されていた。先に通知の補完要求を先に送った理由がここで明らかになった。
5. 申告書に何を書くか選ぶこと 申告書の作成において最も時間を費やした部分は、文章を整えることではなく、何を削るかを選ぶことであった。
その方は話したいことが多かった。メッセージがどれほど煩わしかったか、塾にどれほど失望したか、子供が自分の名前が載ったメッセージを見て何と言ったか。すべては事実だが、申告書にすべてを詰め込めば事案の輪郭がぼやけてしまう。調査を行う側が見るべきは感情ではなく、事実関係と違反のポイントである。
そこで、三つの柱に整理した。
第一に、何がいつどのように漏れ出したか。 事業者の返信に書かれた項目・時期・経緯をそのまま転記し、そのメールを資料として添付した。
第二に、どのような義務が守られなかったか。 流出通知に法的項目が欠けていた点、閉園後も情報が破棄されていなかった点、アクセス権限の管理が行われていなかった点をそれぞれ分けて記載した。項目ごとに二、三行あれば十分だった。
第三に、流出の結果が実際に現れたか。 この部分がこの事件において最も強い力を持った。子供の名前と学年が正確に記された広告メッセージが複数の業者から届いたという事実は、名覧が一箇所ではなく複数の場所へ拡散したことを示す。その方から受け取ったメッセージを、発信番号と受信日を基準に表にまとめた。四ヶ月分で二十六通あった。
表にする瞬間、性質が変わる。「メッセージが届き続ける」という訴えは、表になれば「四ヶ月間、八つの業者から二十六通」という事実になる。
ここで、その方が小さな騒動を起こした。資料を整理している最中に、メッセージを三通うっかり消してしまったのだ。電話がかかってきたとき、その方の声はひどく強張っていた。幸いにも通信会社のメッセージ保存機能に残っていたため、復元した。その後、その方は新しいメッセージが届くたびにキャプチャして別途保存するようになった。
6. 削除と処理停止をあわせて送った理由 申告書を出すだけで、メッセージが止まるか。そうではありません。
申告は調査と是正につながりますが、時間がかかります。その間も、名簿は業者の送信システムの中にそのまま残っています。そのため、申告とは別に、メッセージを送った業者を相手に2つの要求をあわせて送ることにしました。
「個人情報保護法」は、情報主体に対して、自身の個人情報に関する閲覧、訂正・削除、処理停止を求める権利を与えています。この権利は、もともと情報を渡した場所だけでなく、その情報を現在保持し処理している場所にも適用できます。
- 閲覧要求: その業者が自分の情報をどの項目で、どこから入手しているかを確認します。
- 削除要求: 保有根拠がなければ削除するよう要求します。
- 処理停止要求: 削除する前であっても、広告の送信などの処理を停止するよう要求します。
この順序をこのように決めたのには理由があります。削除だけを要求すると、業者が「確認中」と言って時間を稼いでいる間に、メッセージが届き続けます。処理停止をあわせて送れば、その期間中も送信を停止させる根拠が生まれます。閲覧要求を前に置くことで、業者はどこから名簿を受け取ったのか回答せざるを得なくなり、その回答が流通経路を追う手がかりとなります。
8つの業者のうち、発信番号が確認できた6社に同じ形式の要求書を送りました。内容は同じで、業者名と受信したメッセージの履歴だけが異なりました。残りの2社は、発信番号がインターネット送信代行の番号であったため、事業者を特定することが難しく、その事実は申告書にそのまま記載しました。
もう一つ案内したことがあります。このような要求には回答期限が定められており、応じない、あるいは拒否する場合はその理由を伝えなければなりません。そのため、回答が来たら捨てずにまとめておいてもらおうと伝えました。応じなかった場所があれば、それ自体が次の資料となります。
7. 4週間後に届いた回答 申告の受理後、最初に届いた連絡は事実関係を確認する質問でした。メッセージを受け取った期間と業者数、事業者の回答メールの原本を再度求められました。表にまとめていたおかげで、その日の午後に回答することができました。
業者側の反応は分かれました。6社のうち4社は削除完了を通知してきました。そのうち2社は、名簿をどこから受け取ったかも記載して送ってきましたが、両社とも同じ名前の中介業者を指していました。1社は「提携先から適法に提供された」とだけ回答しました。最後の1社は回答がありませんでした。
同じ仲介業者が2回出てきたという点は、そのまま補完資料として提出しました。複数の場所がそれぞれ個別に名簿を入手したのではなく、一箇所を経由して拡散された可能性を示す状況証拠でした。
メッセージは申告から約6週間経つ頃、目に見えて減りました。完全に途絶えたわけではありません。処理停止の要求に応じた業者のメッセージが先に止まり、回答のなかったところはそのままでした。その1社に対しては、別途再度要求書を送りました。
その方が最後の通話で話したことが記憶に残っています。メッセージが完全に消えたわけではないが、これからは1通届いても何をすべきかわかっているから、以前より怖くないと言いました。キャプチャを撮り、日付を書き、要求書を送ればいいのだ、ということです。
行政手続きの結果が常にすっきりしているとは限りません。しかし、何が起きたのかを把握し、次に何ができるかを知っている状態と、そうでない状態の差は非常に大きいです。
8. 個人情報の流出通知を受けた場合 ① 通知書に法定項目がすべてあるかまず確認してください。 流出した項目、時期と経緯、処理者の措置、被害救済の手続き、申告・相談窓口が含まれている必要があります。欠けていれば、それらを追加するよう要求でき、その回答が後で使える資料になります。
② 「申告」がどの申告かを区別してください。 事業者が保護委員会などに行う申告と、被害者が個人情報侵害申告センターに行う申告は、異なる手続きです。損害賠償などの金銭的な争いは、紛争調整や訴訟の領域です。
③ 被害の事実は感情ではなく表で整理してください。 発信番号、受信日、メッセージに含まれる個人情報の項目をリストにすれば、「煩わしい」が「4ヶ月間、8つの業者から26通」になります。
④ 申告とともに閲覧・削除・処理停止の要求を入れましょう。 申告だけでは、すでに拡散した名簿がすぐに止まるわけではありません。3つをあわせて使うことで、調査期間中も送信を停止させる根拠が得られます。
⑤ 回答は捨てずに集めてください。 応じなかった事実、根拠を明らかにできなかった事実も資料になります。
⑥ 廃業した場所であっても責任が消えるわけではありません。 処理目的が終われば遅滞なく破棄しなければならないという原則は、廃業後も適用されます。
流出の規模や項目によって、適用される手続きや申告の対象が変わる可能性があり、機関の判断も事案ごとに異なります。申請前に該当する機関への確認が必要です。
この文章は実際の相談事例をもとに再構成したものであり、登場する人物・商号・地名・数値は特定の個人や事件とは無関係です。
